Integrierte und benutzerdefinierte Rollen verwenden
Zugriff mit vier integrierten oder eigenen Rollen gewähren, Rollen auf Abonnement- oder Projektebene zuweisen und sie entfernen, wenn der Zugriff endet.
Eine Rolle legt fest, was ihr Inhaber tun kann: Für jeden Berechtigungsbereich, z. B. Networking oder Identity & Access, gewährt sie Keine, Lesen oder Verwalten. Sie weisen einem Mitglied oder einem Dienstkonto eine Rolle in einem Bereich zu, dem Abonnement oder einem Projekt. Das ist eine Rollenzuweisung, und Rollenzuweisungen prüft die Plattform bei jeder Anfrage.
Voraussetzungen
- Um benutzerdefinierte Rollen zu erstellen, zu bearbeiten oder zu löschen und um Rollen zuzuweisen, benötigen Sie die Rolle Besitzer oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für Identity & Access.
- Um Rollen und ihre Zuweisungen anzuzeigen, genügt eine beliebige Rolle mit der Zugriffsebene Lesen für Identity & Access.
Integrierte Rollen
Jede Organisation hat vier integrierte Rollen. Sie können sie nicht bearbeiten oder löschen, aber Sie können sie in benutzerdefinierte Rollen klonen.
| Rolle | Was sie tun kann |
|---|---|
| Besitzer | Alles verwalten: Ressourcen, Mitglieder, Rollen, API-Tokens, Abrechnung und Budgets. |
| Mitwirkender | Compute, Speicher, Netzwerk, Load Balancer und Alarme verwalten. Abrechnung, Budgets, Mitglieder und Rollen, API-Tokens und das Activity Log anzeigen. |
| Leser | Alles anzeigen. Nichts ändern. |
| Abrechnungsoperator | Abrechnung und Budgets verwalten. Kein Zugriff auf Ressourcen, Mitglieder oder das Activity Log. |
Die Rollen sind in dieser Reihenfolge eingestuft, von Besitzer bis Abrechnungsoperator.
Bereiche
| Bereich | Wo die Rolle gilt |
|---|---|
| Abonnement | Das Abonnement und jedes Projekt darin. |
| Projekt | Nur dieses Projekt. |
Wie sich mehrere Zuweisungen addieren, wer welche Rolle zuweisen kann und welche Einstellungen und Abrechnungsressourcen eine Rolle auf Abonnementebene erfordern, erfahren Sie unter Rollenzuweisungen.
Mitglied eine Rolle zuweisen
Wechseln Sie in der Konsole zu Identität & ZugriffBenutzer, und wählen Sie das Mitglied aus.
Wählen Sie Rolle zuweisen aus.
Wählen Sie im Feld Rolle die Rolle aus.
Wählen Sie im Feld Bereich das aktuelle Projekt oder das Abonnement aus. Das Abonnement wird nur angeboten, wenn Sie Identity & Access auf Abonnementebene verwalten.
Wählen Sie zur Bestätigung Rolle zuweisen aus.
Die Konsole bestätigt, dass die Zuweisung bereitgestellt wird. Wenn das abgeschlossen ist, erscheint die Rolle auf der Registerkarte Rollen & Zugriff des Mitglieds.
Um mehreren Mitgliedern dieselbe Rolle zuzuweisen, wählen Sie sie in der Mitgliederliste aus, und wählen Sie Rolle zuweisen aus. Der Dialog hat dieselben Felder.
Rolle über die Seite der Rolle zuweisen
Verwenden Sie diese Methode, um einem Dienstkonto eine Rolle zuzuweisen oder um alle zu sehen, die eine Rolle innehaben.
Wechseln Sie zu Identität & ZugriffRollen, und wählen Sie die Rolle aus.
Wählen Sie Zuweisung hinzufügen auf der Registerkarte Zuweisungen aus.
Wählen Sie im Feld Prinzipal ein Mitglied oder ein Dienstkonto aus.
Wählen Sie im Feld Bereich das Projekt oder das Abonnement aus.
Wählen Sie Gewähren aus.
Die Registerkarte Zuweisungen listet auf, wer die Rolle im aktuellen Projekt und in seinem Abonnement innehat.
Rolle von einem Mitglied entfernen
Wechseln Sie zu Identität & ZugriffBenutzer, und wählen Sie das Mitglied aus.
Wählen Sie auf der Registerkarte Rollen & Zugriff in der Zeile der Rolle Entfernen aus.
Lesen Sie die Bestätigung, und wählen Sie Entfernen aus.
Dadurch werden alle Zuweisungen dieser Rolle entfernt, die das Mitglied in Ihrer Organisation innehat, in jedem Bereich, nicht nur die ausgewählte Zeile. Wenn das Entfernen die OpenStack-Rolle des Mitglieds in einem Projekt herabsetzt, werden seine OpenStack-Anwendungs-Credentials für dieses Projekt gelöscht. Die Bestätigung listet die Credentials auf, die gelöscht würden. Siehe Funktionsweise.
Sie können Ihre eigene Rolle Besitzer nicht entfernen.
Benutzerdefinierte Rolle erstellen
Wechseln Sie zu Identität & ZugriffRollen, und wählen Sie Benutzerdefinierte Rolle erstellen aus.
Geben Sie im Feld Rollenname einen Namen und optional im Feld Beschreibung eine Beschreibung ein.
Wählen Sie unter Zuweisbare Bereiche aus, wo die Rolle zugewiesen werden kann: Abonnement, Projekt oder beides.
Legen Sie unter Berechtigungen jeden Berechtigungsbereich auf Keine, Lesen oder Verwalten fest.
Wählen Sie Rolle erstellen aus.
| Feld | Regeln |
|---|---|
| Rollenname | 2–63 Zeichen: Buchstaben, Ziffern, Leerzeichen, Bindestriche und Unterstriche, beginnend mit einem Buchstaben. Eindeutig in Ihrer Organisation, ohne Berücksichtigung der Groß-/Kleinschreibung. Der Name darf nicht die ID einer integrierten Rolle sein. |
| Beschreibung | Optional. |
| Zuweisbare Bereiche | Mindestens einer. |
| Berechtigungen | Sie können der Rolle keine Berechtigung geben, die Sie selbst nicht besitzen. |
Mit Lesen kann der Inhaber der Rolle eine Ressource anzeigen. Mit Verwalten kann er sie anzeigen und ändern. Dies sind die wichtigsten Berechtigungsbereiche:
| Berechtigungsbereich | Was er abdeckt |
|---|---|
| Compute / Instances | Instanzen, Abbilder, Schlüsselpaare und Instanz-Snapshots. |
| Block & Object Storage | Volumes, Volume-Snapshots, Backups und Object Storage. |
| Networking | Netzwerke, Router, Sicherheitsgruppen, Floating-IPs und VPN. |
| Load Balancers | Load Balancer. |
| Observability | Alarmregeln und ihre Benachrichtigungskanäle. |
| Billing & Cost | Kosten, Rechnungen, Guthaben, Kontingente und Abonnements. |
| Budgets | Budgets und Budget-Alarme. Das Anzeigen oder Ändern von Budgets erfordert außerdem mindestens dieselbe Ebene für Billing & Cost. |
| Identity & Access | Mitglieder, Rollen und Dienstkonten. |
| API Tokens | API-Tokens. |
| Audit Log | Das Activity Log. |
Rolle klonen
Klonen Sie eine integrierte oder benutzerdefinierte Rolle, um eine benutzerdefinierte Rolle mit ihren Berechtigungen zu beginnen.
Wechseln Sie zu Identität & ZugriffRollen. Öffnen Sie in der Zeile der Rolle das Menü, und wählen Sie Klonen aus.
Das Formular wird mit den Einstellungen der Rolle geöffnet. Ändern Sie den Namen und die Berechtigungen nach Bedarf.
Wählen Sie Rolle erstellen aus.
Benutzerdefinierte Rolle bearbeiten oder löschen
- Bearbeiten. Öffnen Sie in der Zeile der benutzerdefinierten Rolle das Menü, und wählen Sie Bearbeiten aus. Nehmen Sie Ihre Änderungen vor, und wählen Sie Änderungen speichern aus. Die Änderungen gelten für jede Zuweisung der Rolle.
- Löschen. Öffnen Sie in der Zeile der benutzerdefinierten Rolle das Menü, und wählen Sie Löschen aus. Wählen Sie im Dialog Rolle löschen aus. Alle, die die Rolle innehatten, verlieren den Zugriff, den sie ihnen gab. Sie können das nicht rückgängig machen.
Wichtig
Wenn eine Bearbeitung oder ein Löschen die OpenStack-Rolle eines Rolleninhabers in einem Projekt herabsetzt, werden dessen OpenStack-Anwendungs-Credentials für dieses Projekt gelöscht. Bevor Sie eine Rolle ändern, prüfen Sie auf ihrer Registerkarte Zuweisungen, wer sie innehat. Siehe Funktionsweise.
Mitglied das Erstellen von Projekten erlauben
Zum Erstellen von Projekten in einem Abonnement ist die Rolle Besitzer auf Abonnementebene oder eine separate Berechtigung zur Projekterstellung erforderlich. Inhaber eines Projekts zu sein, reicht nicht aus.
Wechseln Sie zu Identität & ZugriffBenutzer, und wählen Sie das Mitglied aus.
Wählen Sie auf der Registerkarte Rollen & Zugriff im Bereich Projekterstellung die Schaltfläche Projekterstellung erlauben aus.
- Nur ein Abonnementinhaber sieht diesen Bereich und kann die Berechtigung ändern.
- Das Mitglied muss bereits eine Rolle auf Abonnementebene oder in einem der Projekte des Abonnements haben.
- Die Berechtigung erlaubt dem Mitglied, Projekte in diesem Abonnement zu erstellen, und sonst nichts: Sie gewährt keinen Zugriff auf andere Projekte und keinen Zugriff auf die Abrechnung.
- Um sie zurückzunehmen, wählen Sie Projekterstellung entziehen aus.
Wie Sie mit der Berechtigung ein Projekt erstellen, erfahren Sie unter Projekt erstellen.